最近的WordPress漏洞用于挫败150万页

最多20个攻击者或一组攻击者是违背WordPress网站，其尚未应用最近的补丁以实现严重漏洞。

位于平台“S REST API中的漏洞允许未经身份验证的攻击者修改WordPress站点中的任何帖子或页面的内容。在1月26日发布的WordPress 4.7.2中修复了缺陷，但WordPress团队在一周后，未公开披露漏洞的存在，以允许足够的时间才能为大量用户部署更新。

但是，即使在缺陷之后成为公众，许多网站管理员也没有应用补丁和一波攻击很快。星期一，Web安全公司Sucuri报告称，在四个独立的攻击活动中，大约67,000页已经污染。

从那以来，污损页数的数量已超过150万，并且根据Feedjit的统计数据，这是Wordfence安全插件的统计数据的统计数据，有20个不同的攻击签名。唯一受影响的网站的数量估计约为40,000，因为网站可以具有多个污损页面。

“这种脆弱性导致了一种饲养狂热，攻击者互相竞争，以逃避弱势群体网站，”Feedjit的首席执行官Mark Maunder Mark Maunder，在星期四的博客帖子中说。“在过去的48小时内，我们看到超过80,000次攻击，利用我们监控的WordPress网站的这种特定漏洞。”

一个有趣的方面是，攻击者已经设法找到了通过Web应用程序防火墙供应商和网络托管公司解决了初始阻止规则的方法来保护他们的客户从尝试利用这一缺陷。

这些公司可以强制WebMasters来更新WordPress安装，但它们可以将过滤器放在Web服务器上，以阻止此类攻击到达客户“网站。事实上，在发布官方补丁之前，WordPress安全团队伸出了选择Web安全和托管公司，以帮助他们部署此缺陷的保护规则。

谷歌还发出了对网站管理员的安全警报，他们在Google搜索控制台服务中注册了他们的WordPress网站。警报建议他们安装WordPress 4.7.2更新，但在已应用补丁的用户中生成了一些混淆。

事实是，尽管有这些努力，一些WordPress安装赢得了“T胜利，并将仍然容易受到这一缺陷的伤害很长一段时间。这是基于与其他严重缺陷的过去的经历，影响WordPress和类似内容管理解决方案。

坏消息是，它可能只是时间问题，直到攻击者停止污损页面并开始将恶意代码注入其中，影响他们的访客。